עד כמה האתר מגן על מה שהמבקרים מקלידים?

מה אנחנו בודקים

מתחילים ב-100 נקודות. הגנה חסרה גורעת נקודות, והגנה נוספת מוסיפה כמה. הדירוג נקבע לפי הנקודות: A+ החל מ-100 (עם HTTPS, HSTS ו-CSP מחמיר), A החל מ-90, B החל מ-75, C החל מ-60, D החל מ-45, ומתחת לכך F.

• HTTPS: הדף והנתונים המוזנים בטופס מועברים בהצפנה (-40 בלעדיו).
• HSTS: הדפדפנים לעולם אינם חוזרים ל-http לא מוצפן, גם בהזנת כתובת ידנית (-20 בלעדיו, -10 לתקופה קצרה מ-6 חודשים, +5 עם preload).
• Content Security Policy: רק סקריפטים מאושרים פועלים - סקריפט שהוזרק אינו יכול לקרוא את הטופס (-25 בלעדיה, -15 במצב report-only, -10 עם unsafe-inline/eval).
• מסגור: אף דף חיצוני אינו יכול להציג את הדף במסגרת וללכוד לחיצות (-20 ללא X-Frame-Options או frame-ancestors).
• nosniff: הדפדפן אינו מנחש סוגי קבצים (-5 בלעדיו).
• Referrer-Policy: כתובות עם פרמטרי טופס אינן דולפות לאתרים אחרים (-5 אם ההגדרה אינה בטוחה).
• עוגיות: Secure, HttpOnly ו-SameSite (עד -20).
• Server ו-X-Powered-By ללא גרסאות - תוקפים מחפשים בדיוק אותן (-5).

דומה ל-Mozilla HTTP Observatory ול-securityheaders.com; השקלול שלנו נותן עדיפות למה שמגן על נתוני הטופס. דירוג טוב אינו מעיד על טופס מוגן - לשם כך נועדה בדיקת הטופס.